PROTECCIÓN DE DATOS EN LA NUBE

PROTECCIÓN DE DATOS ANTE LA CONTRATACIÓN DE SERVICIOS “CLOUD COMPUTING”. Cloud computing o COMPUTACIÓN EN LA NUBE es una SOLUCIÓN TECNOLÓGICA QUE PERMITE OFRECER SERVICIOS A TRAVÉS DE INTERNET TALES COMO LA UTILIZACIÓN DE SOFTWARE, ALMACENAMIENTO Y SINCRONIZACIÓN DE ARCHIVOS, BASES DE DATOS, CORREO ELECTRÓNICO, GESTIÓN REMOTA DE INFORMACIÓN, DE FORMA QUE ESTÉN ACCESIBLES A LOS USUARIOS DE MANERAVIRTUAL, EN CUALQUIER MOMENTO, EN CUALQUIER LUGAR Y DESDE CUALQUIER DISPOSITIVO. Una vez explicado muy sucintamente en que consiste la nube, debemos de plantearnos una serie de CONSIDERACIONES LEGALES antes de proceder a la contratación de una solución de Cloud Computing. ¿Qué legislación nos afecta? Son la LEY FEDERAL DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE LOS PARTICULARES (LFPDPPP) yla LEY FEDERAL DE TRANSPARENCIA Y ACCESO A LA INFORMACIÓN PÚBLICA GUBERNAMENTAL (legislación en materia de protección de datos LFTAIPG). Y dentro de este entorno aparecen la figura del INTERESADO EN CONTRATAR LOS SERVICIOS de cloud Computing y los PRESTADORES DEL SERVICIO de esta solución. Los contratantes dentro del marco de la LFPDPPP, actúan como responsables del FICHERO de toda la informaciónque vuelquen en la nube. Por otro lado el prestador del servicio, que adopta la figura de encargado de tratamiento. ¿Y qué significa esto? Que como contratantes debemos cumplir con los requisitos legales de la Ley y su Reglamento y exigir el cumplimiento de unos mínimos jurídicos y técnicos a la empresa prestataria del servicio. La LFPDPPP define al RESPONSABLE DEL FICHERO como la persona física ojurídica, de naturaleza pública o privada, que decida sobre la finalidad, contenido y uso del tratamiento. La LFPDPPP define al ENCARGADO DE TRATAMIENTO como la persona física o jurídica, servicio o cualquier otro organismo que solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. Definidas las figuras y decidido la contratación de esta solucióndebemos asegurarnos que  en las CONDICIONES DEL CONTRATO contenga lo estipulado en la LFPDPPP, o en su defecto se firme un contrato de acceso a datos por parte de terceros, tambien define el ACCESO A DATOS POR PARTE DE TERCEROS como ”… la realización de tratamientos por cuenta de terceros a los datos deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permitaacreditar su celebración y contenido, estableciéndose expresamente que EL ENCARGADO DE TRATAMIENTO ÚNICAMENTE TRATARÁ LOS DATOS CONFORME A LAS INSTRUCCIONES DEL RESPONSABLE DEL TRATAMIENTO, QUE NO LOS APLICARÁ O UTILIZARÁ CON FIN DISTINTO AL QUE FIGURE EN DICHO CONTRATO, NI LOS COMUNICARÁ, NI SIQUIERA PARA SU CONSERVACIÓN, A OTRAS PERSONAS.” Este CONTRATO deberá hacer mención expresa, como mínimo,a los siguientes aspectos: UNA DESCRIPCIÓN DETALLADA DE LAS PRESTACIONES A REALIZAR Y FINALIDAD; SI EL SERVICIO VA A TENER O NO, CARÁCTER REMUNERADO; SI LA PRESTACIÓN VA A SER TEMPORAL O INDEFINIDA; QUE EL ENCARGADO DE TRATAMIENTO ÚNICAMENTE TRATARÁ LOS DATOS CONFORME A LAS INSTRUCCIONES DEL RESPONSABLE DEL FICHERO; QUE EL ENCARGADO DEL TRATAMIENTO NO LOS APLICARÁ O UTILIZARÁ CON FIN DISTINTO ALQUE FIGURE EN DICHO CONTRATO, NI LOS COMUNICARÁ O UTILIZARÁ, NI SIQUIERA PARA SU CONSERVACIÓN, A OTRAS PERSONAS, SALVO PREVIA INDICACIÓN EXPRESA DEL RESPONSABLE DEL FICHERO; POSIBILIDAD DE SUBCONTRATACIÓN DE LOS SERVICIOS, CONTANDO CON AUTORIZACIÓN DEL RESPONSABLE DEL FICHERO; LAS MEDIDAS DE SEGURIDAD QUE EL ENCARGADO DEL TRATAMIENTO ESTÁ OBLIGADO A IMPLEMENTAR, LA OBLIGACIÓN DE GUARDAR SECRETORESPECTO DE LOS DATOS OBJETO DE TRATAMIENTO Y UNA VEZ FINALIZADA LA PRESTACIÓN DE SERVICIO LOS DATOS DE CARÁCTER PERSONAL DEBERÁN SER DEVUELTOS AL RESPONSABLE DEL TRATAMIENTO. Además de este requisito legal debemos exigir unas MEDIDAS DE SEGURIDAD que están establecidas legal y reglamentariamente, más aun cuando por la tipología de la información se traten de DATOS SENSIBLES, y ASEGURARNOS QUE NOS...